본문으로 건너뛰기
J
피드

블랙덕, 한국 AI 전환 노린다 — AI-BOM·스니펫 분석으로 EU CRA 대응 지원

security 약 5분
tags
#open-source#security#compliance#ai-bom#sca
vote
0
댓글
북마크
원문 보기

오픈소스 보안 기업 블랙덕이 한국 시장 진출을 본격화했다. 전 세계 최대 OSS 데이터베이스, 독점 AI 엔진 '컨텍스트 AI', 스니펫 분석, AI-BOM 거버넌스를 차별점으로 내세우며 9월 시행 EU CRA 등 한국 기업의 해외 컴플라이언스 대응을 지원하겠다는 전략이다.

  • 1

    옌 청 APAC 총괄 주재 21일 과천 기자간담회에서 한국 시장 진출 본격화 발표

  • 2

    가트너 애플리케이션 보안 테스트 분야 8회 연속 리더 선정

  • 3

    차별점 — 최대 OSS DB, 컨텍스트 AI, 스니펫 분석, AI-BOM 거버넌스

  • 4

    한국 전략은 LLM/AI 코드 안전 개발 지원 + 글로벌 컴플라이언스 대응

  • 5

    2026년 9월 시행되는 EU CRA가 한국 수출 기업의 핵심 이슈로 부상

  • 오픈소스 보안 솔루션 기업 블랙덕(Black Duck)이 한국 시장 진출을 본격화한다고 선언
    • 옌 청(Yen Cheong) 블랙덕 APAC 총괄이 21일 경기도 과천에서 기자간담회를 열고 공표
    • 25년간 쌓은 OSS 보안 테스팅 역량으로 한국 기업/정부의 AI 전환을 지원하겠다는 복안

블랙덕이 내세운 4가지 차별점

  • 전 세계 최대 규모 오픈소스 소프트웨어 데이터베이스 보유
  • 독점 AI 엔진 '컨텍스트 AI(Context AI)'
  • 스니펫 분석 — 코드 조각 단위로 라이선스/보안 이슈 식별
  • AI-BOM(AI 구성 명세서) 및 공급망 리스크 거버넌스

한국 시장을 노리는 이유

  • 블랙덕은 2011년부터 한국 진출 중. 현대, 삼성, LG 등 하이테크 제조사 + 한국인터넷진흥원(KISA)과 파트너십 보유
    • 가트너 애플리케이션 보안 테스트 분야 8회 연속 리더 선정
  • 한국 시장 2가지 목표
    • AI 전환을 위한 LLM 및 AI 코드의 안전한 개발·사용 지원
    • 첨단 기술 및 소프트웨어 산업 규정 준수 지원

❗중요

> 9월부터 EU의 CRA(Cyber Resilience Act, 사이버 레질리언스 액트) 컴플라이언스 준수가 본격화됨. 한국 기업은 수출 의존도가 높아서 해외 규제 대응이 점점 사업 생존 문제가 되고 있음

  • 옌 청 총괄 曰 "블랙덕의 혜택을 한국 시장에 제공함으로써 많은 조직의 AI 전환 달성을 지원하겠다"
    • 핵심 메시지는 "보안이 안전하게 갖춰진 상태에서 개발 사이클이나 AI 전환을 이룰 수 있게 지원"

기술 맥락

블랙덕이 강조하는 AI-BOM(AI Bill of Materials) 은 요즘 기업 보안의 핫한 주제예요. 기존 SBOM이 "내 소프트웨어에 어떤 오픈소스 컴포넌트가 들어갔는지" 목록이라면, AI-BOM은 "내 AI 시스템에 어떤 모델/데이터셋/라이브러리가 들어갔는지"를 추적하는 명세서거든요. LLM 호출 하나에도 파인튜닝 모델, 임베딩 모델, 프롬프트 템플릿, 외부 API가 줄줄이 엮이는데, 여기서 하나라도 취약점이 터지면 전체가 흔들려요.

EU CRA가 9월부터 본격 시행되면 디지털 요소가 포함된 제품을 EU에 수출할 때 보안 취약점 패치 의무, 소프트웨어 공급망 투명성, 사고 보고 의무가 필수가 돼요. 한국 제조사들이 IoT/자동차/전자기기에 소프트웨어를 넣어 수출하는 구조라 컴플라이언스 부담이 어마어마해요. 블랙덕이 노리는 포지션이 바로 이 틈새예요.

'스니펫 분석'은 오픈소스 라이선스 컴플라이언스에서 중요한 기술이에요. 개발자가 Stack Overflow에서 코드 몇 줄 복사해오면 그게 GPL 라이선스였을 수도 있거든요. 파일 단위가 아니라 코드 조각 단위로 탐지해야 이런 숨은 위험을 잡아낼 수 있어요. AI 코드 생성이 일상화되면서 "이 AI가 내뱉은 코드가 실은 학습 데이터의 GPL 코드 복제본이었다"는 케이스가 실제로 터지고 있어서, 앞으로 더 중요해질 영역이에요.

AI-BOM과 스니펫 분석은 LLM 기반 코드 생성이 일상화되는 시대에 필연적으로 부각될 영역이다. 한국 제조업이 EU CRA 같은 해외 규제 앞에서 공급망 투명성을 확보하려면 SCA/OSS 보안 도구 도입이 사실상 필수 단계로 진입하고 있다.

prev

이전 기사 (P)

next

다음 기사 (N)

댓글

댓글

댓글을 불러오는 중...

관련 기사

security

블랙덕, 한국 진출 본격화 — EU CRA 9월 발효 정조준

오픈소스 보안 솔루션 기업 블랙덕이 옌 청 APAC 총괄 방한과 함께 한국 시장 공략 의지를 밝혔다. 25년간 쌓은 오픈소스 보안 데이터베이스, 컨텍스트 AI 엔진, 스니펫 분석, AI-BOM을 4대 차별점으로 내세우며 9월 발효되는 EU CRA 컴플라이언스 대응을 한국 수출 기업에 어필했다.

security

실제 공격 트래픽 1억 건 공개 — 위트푸, 아파치 2.0 사이버보안 데이터셋 'Precinct 6' 오픈소스로 풀었다

위트푸가 2024년 실제 공격 트래픽에서 파생한 1억 건 규모의 구조화·라벨링 사이버보안 데이터셋 'Precinct 6'을 허깅페이스에 아파치 2.0으로 공개했다. 시스로그·윈도우 보안 감사·VPC 플로 로그·엔드포인트 원격측정 같은 다중 로그 소스와 출처 그래프, MITRE ATT&CK 매핑 인시던트가 하나로 묶여 있다. 캔터베리대학교와 공동 제작했고 정제 코드까지 오픈소스로 공개됐다.

security

10년 CSAP 해체, 공공 클라우드 인증 '국정원' 단일화 — 2027년 7월 시행

공공 클라우드 진입 검증이 과기정통부 CSAP + 국정원 보안검증 이중 체계에서 국정원 단일 체계로 일원화됨. 2027년 7월부터 시행, CSAP 별표 4는 국정원으로 이관되고 별표 1~3은 ISMS 자율 인증으로 전환. 기존 CSAP 인증은 5년 유효기간 그대로 인정.

security

앤트로픽이 AI 모델 '미토스' 출시 봉인 — 자율 제로데이 발굴 능력이 임계점 넘었다

앤트로픽이 Opus 상위 모델 '미토스'를 '전례 없는 사이버 위험' 이유로 출시 중단. USAMO 97.6%, SWE-bench 93.9%를 기록하며 OpenBSD 27년 버그 등 수천 개 제로데이를 자율 발굴했고 네 개 취약점을 체인으로 엮어 샌드박스 탈출까지 해버림. Glasswing 제한 공개 명단에 한국 기업은 없음.

security

Vercel 해킹 사고 — 서드파티 AI OAuth 앱 탈취로 내부 침투, 환경변수 평문 노출

Vercel이 내부 시스템 침해를 공식 확인했다. 서드파티 AI 플랫폼 Context.ai 해킹으로 직원 Google Workspace 계정이 탈취됐고, 공격자는 'non-sensitive'로 표시돼 암호화되지 않은 환경변수를 enumerate 해 추가 접근 권한을 얻었다. 공격자는 ShinyHunters를 자처하며 직원 정보·API 키·NPM/GitHub 토큰 판매를 시도 중이다.